第11章 Web安全技術(shù)

網(wǎng)絡(luò)安全基礎(chǔ)及應(yīng)用張仕斌陳麟方睿編著北京：人民郵電出版社二00九年十一月2023/3/91主要內(nèi)容第1章緒論第2章密碼技術(shù)第3章信息隱藏技術(shù)第4章數(shù)字簽名技術(shù)第5章認(rèn)證技術(shù)第6章網(wǎng)絡(luò)入侵與攻擊技術(shù)第7章網(wǎng)絡(luò)安全防范技術(shù)第8章操作系統(tǒng)安全技術(shù)第9章數(shù)據(jù)與數(shù)據(jù)庫安全技術(shù)第10章軟件安全技術(shù)第11章Web安全技術(shù)第12章網(wǎng)絡(luò)互聯(lián)安全技術(shù)2023/3/92第11章Web安全技術(shù)2023/3/93知識(shí)點(diǎn)：

Web的安全體系結(jié)構(gòu)

Web安全協(xié)議

Web服務(wù)器安全

Web瀏覽器安全2023/3/9411.1Web的安全體系結(jié)構(gòu)Web賴以生成的環(huán)境包括計(jì)算機(jī)硬件、操作系統(tǒng)、計(jì)算機(jī)網(wǎng)絡(luò)、許多的網(wǎng)絡(luò)服務(wù)和應(yīng)用，所有這些都存在著安全隱患，最終威脅到Web的安全。因此，Web的安全體系結(jié)構(gòu)非常復(fù)雜，主要包括：①客戶端軟件的安全，即Web瀏覽器軟件的安全；②主機(jī)系統(tǒng)的安全（運(yùn)行瀏覽器的計(jì)算機(jī)設(shè)備及其操作系統(tǒng)的安全）；③客戶端的局域網(wǎng)安全；④Internet的安全；⑤服務(wù)器端的局域網(wǎng)安全；⑥主機(jī)系統(tǒng)的安全（運(yùn)行服務(wù)器的計(jì)算機(jī)設(shè)備及操作系統(tǒng)的安全）；⑦服務(wù)器上相關(guān)軟件的安全。在分析Web服務(wù)器的安全性時(shí)，一定要考慮全面，因?yàn)樗鼈兪窍嗷ヂ?lián)系的，每個(gè)方面都會(huì)影響到Web服務(wù)器的安全性，它們中安全性最差的決定了給定服務(wù)器的安全級(jí)別。由于篇幅的限制不能夠詳細(xì)地討論所有影響Web安全的因素，僅介紹影響Web安全最直接的因素。2023/3/9511.2Web安全協(xié)議

SSL協(xié)議是在Internet基礎(chǔ)上提供的一種保證私密性的安全協(xié)議。它能使客戶/服務(wù)器應(yīng)用之間的通信不被攻擊者竊聽，并且始終對(duì)服務(wù)器進(jìn)行認(rèn)證，還可選擇對(duì)客戶進(jìn)行認(rèn)證。SSL協(xié)議要求建立在可靠的傳輸層協(xié)議（如TCP）之上。SSL協(xié)議的優(yōu)勢在于它是與應(yīng)用層協(xié)議無關(guān)的。高層的應(yīng)用層協(xié)議（如HTTP、FTP、TELNET)能透明的建立于SSL協(xié)議之上。SSL協(xié)議在應(yīng)用層協(xié)議通信之前就已經(jīng)完成加密算法、通信密鑰的協(xié)商以及服務(wù)器認(rèn)證工作。此后，應(yīng)用層協(xié)議所傳送的數(shù)據(jù)都會(huì)被加密，從而保證通信的私密性。由此可知，SSL協(xié)議提供的安全信道有以下3個(gè)特性：①私密性；②確認(rèn)性；③可靠性。1．安全套接層協(xié)議2023/3/962．SSL協(xié)議SSL協(xié)議由SSL記錄協(xié)議和SSL握手協(xié)議兩部分組成：（1）SSL記錄協(xié)議在SSL協(xié)議中，所有的傳輸數(shù)據(jù)都被封裝在記錄中。記錄是由記錄頭和長度不為0的記錄數(shù)據(jù)組成的。所有的SSL通信包括握手消息、安全空白記錄和應(yīng)用數(shù)據(jù)都使用SSL記錄層。SSL記錄協(xié)議包括了記錄頭和記錄數(shù)據(jù)格式的規(guī)定。2023/3/97①SSL記錄頭格式。

SSL的記錄頭可以是兩個(gè)或3個(gè)字節(jié)長的編碼。SSL記錄頭包含的信息包括記錄頭的長度、記錄數(shù)據(jù)的長度、記錄數(shù)據(jù)中是否有粘貼數(shù)據(jù)。其中粘貼數(shù)據(jù)用于在使用塊加密算法時(shí)，填充實(shí)際數(shù)據(jù)，使其長度恰好是塊的整數(shù)倍。最高位為1時(shí)，不含有粘貼數(shù)據(jù)，記錄頭的長度為兩個(gè)字節(jié)，記錄數(shù)據(jù)的最大長度為32767個(gè)字節(jié)；最高位為0時(shí)，含有粘貼數(shù)據(jù)，記錄頭的長度為3個(gè)字節(jié)，記錄數(shù)據(jù)的最大長度為16383個(gè)字節(jié)。當(dāng)數(shù)據(jù)頭長度是3個(gè)字節(jié)時(shí)，次高位有特殊的含義。次高位為1時(shí)，標(biāo)識(shí)所傳輸?shù)挠涗浭瞧胀ǖ臄?shù)據(jù)記錄；次高位為0時(shí)，標(biāo)識(shí)所傳輸?shù)挠涗浭前踩瞻子涗洠ū槐Ａ粲糜趯韰f(xié)議的擴(kuò)展）。2023/3/98②SSL記錄數(shù)據(jù)的格式。

SSL的記錄數(shù)據(jù)包含3個(gè)部分：MAC數(shù)據(jù)、實(shí)際數(shù)據(jù)和粘貼數(shù)據(jù)。MAC數(shù)據(jù)用于數(shù)據(jù)完整性檢查。計(jì)算MAC所用的散列函數(shù)由握手協(xié)議中的CIPHER-CHOICE消息確定。若使用MD2和MD5算法，則MAC數(shù)據(jù)長度是16個(gè)字節(jié)。MAC的計(jì)算公式為：MAC數(shù)據(jù)＝HASH[密鑰，實(shí)際數(shù)據(jù)，粘貼數(shù)據(jù)，序號(hào)]。當(dāng)會(huì)話的客戶端發(fā)送數(shù)據(jù)時(shí)，密鑰是客戶的寫密鑰（服務(wù)器用讀密鑰來驗(yàn)證MAC數(shù)據(jù)）；而當(dāng)會(huì)話的客戶端接收數(shù)據(jù)時(shí)，密鑰是客戶的讀密鑰（服務(wù)器用寫密鑰來產(chǎn)生MAC數(shù)據(jù)）。序號(hào)是一個(gè)可以被發(fā)送和接收雙方遞增的計(jì)數(shù)器。每個(gè)通信方向都會(huì)建立一對(duì)計(jì)數(shù)器，分別被發(fā)送者和接收者擁有。計(jì)數(shù)器有32位，計(jì)數(shù)值循環(huán)使用，每發(fā)送一個(gè)記錄計(jì)數(shù)值遞增一次，序號(hào)的初始值為0。2023/3/99③SSL記錄協(xié)議的操作，如圖11-1所示。2023/3/910a．分段：每個(gè)上層應(yīng)用數(shù)據(jù)被分成214字節(jié)或更小的數(shù)據(jù)塊。記錄中包含類型、版本號(hào)、長度和數(shù)據(jù)字段；b．壓縮：可選項(xiàng)，并且是無損壓縮，壓縮后內(nèi)容長度的增加不能超過1024字節(jié)；c．在壓縮數(shù)據(jù)上計(jì)算消息認(rèn)證MAC；d．對(duì)壓縮數(shù)據(jù)及MAC進(jìn)行加密；e．增加SSL記錄頭。2023/3/911④SSL記錄協(xié)議字段，如圖11-2所示。

圖11-2SSL記錄協(xié)議字段

2023/3/912

SSL記錄協(xié)議字段內(nèi)容包括：內(nèi)容類型（8位），封裝的高層協(xié)議；主要版本（8位），使用的SSL主要版本號(hào)，對(duì)于SSLv3.0，值為3；次要版本（8位），使用的SSL次要版本號(hào)，對(duì)于SSLv3.0，值為0；壓縮長度（16位），明文數(shù)據(jù)（如果選用壓縮則是壓縮數(shù)據(jù)）以字節(jié)為單位的長度。已經(jīng)定義的內(nèi)容類型是握手協(xié)議、警告協(xié)議、改變密碼格式協(xié)議和應(yīng)用數(shù)據(jù)協(xié)議。其中改變密碼格式協(xié)議是最簡單的協(xié)議，這個(gè)協(xié)議由值為1的單字節(jié)報(bào)文組成，用于改變連接使用的密文族。警告協(xié)議用來將SSL有關(guān)的警告?zhèn)魉徒o對(duì)方。警告協(xié)議的每個(gè)報(bào)文由兩個(gè)字節(jié)組成，第一個(gè)字節(jié)指明級(jí)別（1警告或2致命），第二個(gè)字節(jié)指明特定警告的代碼。2023/3/913（2）SSL握手協(xié)議SSL握手協(xié)議包含兩個(gè)階段，第一個(gè)階段用于建立私密性通信信道，第二個(gè)階段用于客戶認(rèn)證。①第一階段：是通信的初始化階段，通信雙方都發(fā)出HELLO消息。當(dāng)雙方都接收到HELLO消息時(shí)，就有足夠的信息確定是否需要一個(gè)新的密鑰。若不需要新的密鑰，雙方立即進(jìn)入握手協(xié)議的第二階段。否則，此時(shí)服務(wù)器方的SERVER－HELLO消息將包含足夠的信息使客戶方產(chǎn)生一個(gè)新的密鑰。這些信息包括服務(wù)器所持有的證書、加密規(guī)約和連接標(biāo)識(shí)。若密鑰產(chǎn)生成功，客戶方發(fā)出CLIENT-MASTER-KEY消息，否則發(fā)出錯(cuò)誤消息。最終當(dāng)密鑰確定以后，服務(wù)器方向客戶方發(fā)出SERVER-VERIFY消息。因?yàn)橹挥袚碛泻线m的公鑰的服務(wù)器才能解開密鑰。圖11-3為握手協(xié)議第一階段的流程。2023/3/914圖11-3SSL握手流程2023/3/915②第二階段：主要任務(wù)是對(duì)客戶進(jìn)行認(rèn)證，此時(shí)服務(wù)器已經(jīng)被認(rèn)證了。服務(wù)器方向客戶發(fā)出認(rèn)證請求消息REQUEST-CERTIFICATE。當(dāng)客戶收到服務(wù)器方的認(rèn)證請求消息后，發(fā)出自己的證書，并且監(jiān)聽對(duì)方回送的認(rèn)證結(jié)果。而當(dāng)服務(wù)器收到客戶的認(rèn)證，認(rèn)證成功返回SERVER-FINISH消息，否則返回錯(cuò)誤消息。到此為止，握手協(xié)議全部結(jié)束。（3）警告協(xié)議警告協(xié)議用于指示在什么時(shí)候發(fā)生了錯(cuò)誤或兩個(gè)主機(jī)之間的會(huì)話在什么時(shí)候終止。2023/3/9163．SSL協(xié)議典型的消息流程SSL協(xié)議典型的消息流程如表所示。2023/3/9174．加密認(rèn)證算法（1）加密算法和會(huì)話密鑰如前所述，加密算法和會(huì)話密鑰是在握手協(xié)議中協(xié)商并由CIPHER-CHOICE指定的?，F(xiàn)有的SSL版本中所用到的加密算法包括RC4、RC2、IDEA和DES，而加密算法所用的密鑰由消息散列函數(shù)MD5產(chǎn)生。RC4、RC2是由RSA定義的，其中RC2適用于塊加密，RC4適用于流加密。2023/3/918（2）認(rèn)證算法認(rèn)證算法采用X.509電子證書標(biāo)準(zhǔn)，通過使用RSA算法進(jìn)行數(shù)字簽名來實(shí)現(xiàn)的。①服務(wù)器的認(rèn)證。在上述的兩對(duì)密鑰中，服務(wù)器方的寫密鑰和客戶方的讀密鑰、客戶方的寫密鑰和服務(wù)器方的讀密鑰分別是一對(duì)私有、公有密鑰。對(duì)服務(wù)器進(jìn)行認(rèn)證時(shí)，只有用正確的服務(wù)器方寫密鑰加密CLIENT-HELLO消息形成的數(shù)字簽名才能被客戶正確的解密，從而驗(yàn)證服務(wù)器的身份。若通信雙方不需要新的密鑰，則它們各自所擁有的密鑰已經(jīng)符合上述條件。若通信雙方需要新的密鑰，首先服務(wù)器方在SERVER-HELLO消息中的服務(wù)器證書中提供了服務(wù)器的公有密鑰，服務(wù)器用其私有密鑰才能正確的解密由客戶方使用服務(wù)器的公有密鑰加密的MASTER-KEY，從而獲得服務(wù)器方的讀密鑰和寫密鑰。2023/3/919②客戶的認(rèn)證。

同上，只有用對(duì)應(yīng)的客戶方寫密鑰加密的內(nèi)容才能被服務(wù)器方用其讀密鑰正確的解開。當(dāng)客戶收到服務(wù)器方發(fā)出的REQUEST-CERTIFICATE消息時(shí)，客戶首先使用MD5消息散列函數(shù)獲得服務(wù)器方信息的摘要，服務(wù)器方的信息包括KEY-MATERIAL-0、KEY-MATERIAL-1、KEY-MATERIAL-2、CERTIFICATE-CHALLENAGE-DATA（來自于REQUEST-CERTIFICATE消息）、服務(wù)器所賦予的證書（來自于SERVER-HELLO）消息。其中KEY-MATERIAL-1、KEY-MATERIAL-2是可選的，與具體的加密算法有關(guān)。然后客戶使用自己的讀密鑰加密摘要形成數(shù)字簽名，從而被服務(wù)器認(rèn)證。2023/3/920(1)TLS協(xié)議

傳輸層安全（TransportLayerSecurityTLS），協(xié)議基于由Netscape發(fā)展的SSL。Internet工程任務(wù)組（InternetEngineeringTaskForce，IETF）（）將SSL作了標(biāo)準(zhǔn)化，規(guī)范為RFC2246，并將其稱為TLS。當(dāng)前的TLS版本是V1.0，從技術(shù)上講，TLS1.0與SSL3.0的差別非常小。TLS的主要目標(biāo)是在兩個(gè)通信應(yīng)用程序之間提供保密性和數(shù)據(jù)完整性。該協(xié)議由兩層組成：TLS記錄協(xié)議（TLSRecord）和TLS握手協(xié)議（TLSHandshake）。較低的層為TLS記錄協(xié)議，位于某個(gè)可靠的傳輸協(xié)議（例如TCP）上面。2傳輸層安全協(xié)議2023/3/921(2)TLS記錄協(xié)議TLS記錄協(xié)議提供了具有以下兩個(gè)基本特性的連接安全性：

（1）私有：對(duì)稱加密系統(tǒng)被用來數(shù)據(jù)加密。用于連接的對(duì)稱加密術(shù)密鑰是唯一產(chǎn)生的，并且基于由另一個(gè)協(xié)議（如握手協(xié)議）協(xié)商的密鑰。記錄協(xié)議也可以不加密使用。

（2）可靠：信息傳輸包括使用密鑰進(jìn)行信息完整性檢查?？煽康墓δ鼙挥糜诠浪恪Ｓ涗泤f(xié)議在沒有的情況下也能操作，但一般只能用于這樣的模式情形，即有另一個(gè)協(xié)議正在使用記錄協(xié)議傳輸協(xié)商安全參數(shù)。

TLS記錄協(xié)議是一種分層協(xié)議。每一層中的信息可能包含長度、描述和內(nèi)容等字段。記錄協(xié)議支持信息傳輸、將數(shù)據(jù)分段到可處理塊、壓縮數(shù)據(jù)、應(yīng)用MAC、加密以及傳輸結(jié)果等。對(duì)接收到的數(shù)據(jù)進(jìn)行解密、校驗(yàn)、解壓縮、重組等，然后將它們傳送到高層客戶機(jī)。2023/3/922(3)TLS握手協(xié)議TLS握手協(xié)議允許服務(wù)器與客戶機(jī)彼此之間相互認(rèn)證，并且在應(yīng)用程序協(xié)議傳輸和接收其第一個(gè)數(shù)據(jù)字節(jié)前，協(xié)商加密算法和加密密鑰。握手協(xié)議提供了3個(gè)連接安全的基本特性：①可以使用非對(duì)稱的或公共密鑰的密碼技術(shù)來認(rèn)證對(duì)等方的身份。該認(rèn)證是可選的，但至少需要一個(gè)對(duì)等方。②共享密鑰的協(xié)商是安全的。對(duì)偷竊者來說協(xié)商密鑰是難以獲得的。此外經(jīng)過認(rèn)證過的連接不能獲得密鑰，即使是進(jìn)入連接中間的攻擊者也不能。③協(xié)商是可靠的。沒有經(jīng)過通信成員的檢測，任何攻擊者都不能修改通信協(xié)商。

TLS的優(yōu)勢在于：TLS是獨(dú)立的應(yīng)用協(xié)議。高層協(xié)議可以分布在TLS協(xié)議上面。然而TLS標(biāo)準(zhǔn)把如何添加TLS協(xié)議安全性、如何啟動(dòng)TLS握手協(xié)議以及如何解釋認(rèn)證證明的決定權(quán)留給運(yùn)行在TLS上的協(xié)議的設(shè)計(jì)者和實(shí)施者來判斷。2023/3/9234IPSec協(xié)議

IPSec（IPSecurity）協(xié)議是Internet工程任務(wù)組為IP安全推薦的一個(gè)協(xié)議。通過相應(yīng)的隧道技術(shù)，可實(shí)現(xiàn)VPN。IPSec協(xié)議組還包括支持網(wǎng)絡(luò)層安全性密鑰管理要求的密碼技術(shù)。Internet安全協(xié)定密鑰管理協(xié)議）（InternetSecurityAssociationKeyManagementProtocol，ISAKMP）為Internet密鑰管理提供框架結(jié)構(gòu)，為安全屬性的協(xié)商提供協(xié)議支持。它本身不能建立會(huì)話密鑰，但它可與各種會(huì)話密鑰建立協(xié)議一起使用，如Qakley，為Internet密鑰管理提供完整的解決方案。2023/3/92411.3Web服務(wù)器安全11.3.1Web服務(wù)器的安全策略1．Web服務(wù)器存在的漏洞一般來說，Web服務(wù)器上可能存在的漏洞有以下幾種：（1）Web服務(wù)器因各種原因而不能返回客戶要訪問的秘密文件、目錄或重要數(shù)據(jù)；（2）遠(yuǎn)程用戶向服務(wù)器發(fā)送信息時(shí)，特別是像信用卡之類的重要信息時(shí)，中途遭不法分子非法攔截；2023/3/925圖1-1就是通信服務(wù)提供者的信息安全模型。

（3）入侵者可能突破Web服務(wù)器本身存在的一些漏洞，破壞其中的一些重要數(shù)據(jù)，甚至造成系統(tǒng)癱瘓；

（4）公共網(wǎng)關(guān)接口（CommonGatewayInterface，CGI）安全方面存在的漏洞。CGI是Web信息服務(wù)與外部應(yīng)用程序之間交換數(shù)據(jù)的標(biāo)準(zhǔn)接口。它具有兩個(gè)功能：收集從Web瀏覽器發(fā)送給Web服務(wù)器的信息，并且把這些信息傳送給外部程序；把外部程序的輸出作為Web服務(wù)器對(duì)發(fā)送信息的Web瀏覽器的響應(yīng)，送給該Web瀏覽器。通過CGI程序，Web服務(wù)器真正實(shí)現(xiàn)了與Web瀏覽器用戶之間的交互。在HTML文件中，表單（Form）與CGI程序配合使用，共同來完成信息交流的目的。2023/3/926CGI可能的漏洞有：有意或無意地在主機(jī)系統(tǒng)中遺漏bug，給非法黑客創(chuàng)造條件；用CGI腳本編寫的程序在涉及遠(yuǎn)程用戶從瀏覽器中輸入表單或進(jìn)行檢索（SearchIndex）時(shí)，會(huì)給Web主機(jī)系統(tǒng)造成危險(xiǎn)。因此，從CGI角度考慮Web的安全性，主要是在編制程序時(shí)，應(yīng)詳細(xì)考慮到安全因素，盡量避免CGI程序中存在漏洞。因此，不管是配置服務(wù)器，還是在編寫CGI程序時(shí)都要注意系統(tǒng)的安全性。應(yīng)該堵住任何存在的漏洞，創(chuàng)造安全的環(huán)境。從Web服務(wù)器版本上來看，過舊的WEB服務(wù)器版本存在大量已知高風(fēng)險(xiǎn)漏洞，這對(duì)于服務(wù)器來說是非常危險(xiǎn)的。因此應(yīng)保證WEB服務(wù)器程序盡可能的最新或及時(shí)安裝修復(fù)補(bǔ)丁。2023/3/9272．Web服務(wù)器的安全策略和安全機(jī)制Web服務(wù)器的安全策略是由個(gè)人或組織針對(duì)安全而制定的一整套規(guī)則和決策。每個(gè)Web站點(diǎn)都應(yīng)有一個(gè)安全策略，這些安全策略因需求的不同而各不相同。對(duì)Web服務(wù)提供者來說，安全策略的一個(gè)重要組成是明確哪些人可以訪問哪些Web文檔，同時(shí)還定義獲取權(quán)限訪問Web文檔的人和使用這些訪問的人的有關(guān)權(quán)力和責(zé)任。采取何種安全措施，取決于制定的安全策略。必須根據(jù)需要和目標(biāo)來設(shè)置安全措施，估計(jì)和分析安全風(fēng)險(xiǎn)。制定Web站點(diǎn)的安全策略的基本原則是不要為細(xì)節(jié)所困擾。2023/3/928

安全機(jī)制是實(shí)現(xiàn)安全策略的技術(shù)或手段。必須根據(jù)需要和目標(biāo)來設(shè)置安全系統(tǒng)，估計(jì)和分析可能的風(fēng)險(xiǎn)。定義安全策略，選擇一套安全機(jī)制，首先要做的是威脅分析，主要包括以下幾個(gè)方面：（1）有多少外部入口點(diǎn)存在？有哪些威脅？（2）研究誰會(huì)對(duì)網(wǎng)絡(luò)產(chǎn)生威脅：威脅來自黑客，還是訓(xùn)練有素的有知識(shí)的入侵者，或是來自工業(yè)間諜？（3）分析會(huì)有什么樣的威脅：入侵者訪問哪些數(shù)據(jù)庫、表、目錄或信息？威脅是網(wǎng)絡(luò)內(nèi)部的非授權(quán)使用，還是移動(dòng)數(shù)據(jù)？（4）數(shù)據(jù)是遭受了破壞，還是受到了攻擊？攻擊是網(wǎng)絡(luò)內(nèi)、外的非授權(quán)訪問，還是地址欺騙、IP欺騙及協(xié)議欺騙等？（5）確定安全保護(hù)的目標(biāo)。（6）提出價(jià)格合理的安全機(jī)制。2023/3/929根據(jù)威脅程度的大小、方向和入侵的對(duì)象進(jìn)行分析評(píng)價(jià)，作為制定Web的安全策略和設(shè)計(jì)網(wǎng)絡(luò)安全措施的基本依據(jù)。安全設(shè)計(jì)時(shí)，要優(yōu)先考慮必要的且可行的步驟，正確制定安全策略，并采取必要的安全措施。對(duì)Web服務(wù)器安全來說，最重要的安全提升機(jī)制包括：主機(jī)和網(wǎng)絡(luò)的配套工具和技術(shù)、Web應(yīng)用程序的配置、Web服務(wù)的認(rèn)證機(jī)制、防火墻及日志和監(jiān)視。每種機(jī)制都涉及某種類型系統(tǒng)的安全性，并且它們之間是相互聯(lián)系的。2023/3/930安全管理Web服務(wù)器，可以從以下幾個(gè)方面采取一些預(yù)防措施：（1）對(duì)于在Web服務(wù)器上所開設(shè)的賬戶，應(yīng)在口令長度及修改期限上做出具體要求，防止被盜用。限制在Web服務(wù)器上開賬戶，定期進(jìn)行用戶檢查和清理。（2）盡量在不同的服務(wù)器上運(yùn)行不同的服務(wù)（如mail服務(wù)和Web服務(wù)等）程序。盡量使FTP、mail等服務(wù)器與Web服務(wù)器分開，去掉FTP、sendmail、tftp、NIS、NFS、finger、netstat等一些無關(guān)的應(yīng)用。這樣在一個(gè)系統(tǒng)被攻破后，不會(huì)影響到其他的服務(wù)和主機(jī)。（3）關(guān)閉Web服務(wù)器上的不必須的特性服務(wù)，否則，有可能遭到該特性所導(dǎo)致的安全威脅。在Web服務(wù)器上去掉一些絕對(duì)不用的Shell等解釋器，即當(dāng)在CGI程序中沒用到Perl（PracticalExtractionandReportLanguage）時(shí)，就盡量把Perl在系統(tǒng)解釋器中刪除掉。（4）定期查看服務(wù)器中的日志（logs）文件，應(yīng)該定期地記錄Web服務(wù)器的活動(dòng)，分析一切可疑事件。其中，最重要的是監(jiān)視那些試圖訪問服務(wù)器上的文檔的用戶。11.3.2Web服務(wù)器的安全服務(wù)2023/3/931（5）設(shè)置好Web服務(wù)器上系統(tǒng)文件的權(quán)限和屬性。（6）通過限制訪問用戶IP或DNS。限制CGI-BIN目錄的訪問或使用權(quán)限。許多Web服務(wù)器本身存在一些安全上的漏洞，需要在版本升級(jí)時(shí)不斷地更新。（7）恰當(dāng)?shù)嘏渲肳eb服務(wù)器，只保留必要的服務(wù)，刪除和關(guān)閉無用的或不必要的服務(wù)。（8）增強(qiáng)服務(wù)器操作系統(tǒng)的安全，密切關(guān)注并及時(shí)安裝系統(tǒng)及軟件的最新補(bǔ)?。唤⒘己玫馁~號(hào)管理制度，使用足夠安全的口令，并正確設(shè)置用戶訪問權(quán)限。（9）對(duì)Web服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，避免使用Telnet、FTP等明文傳輸協(xié)議（容易被監(jiān)聽），建議使用SSL等安全協(xié)議進(jìn)行加密。2023/3/932（10）嚴(yán)格檢查CGI程序和ASP、ASPX、PHP、JSP等腳本程序的使用。因?yàn)檫@些程序會(huì)帶來系統(tǒng)的安全隱患，而且某些腳本程序本身就存在安全漏洞。（11）使用防火墻及壁壘主機(jī)對(duì)數(shù)據(jù)包進(jìn)行過濾，禁止某些地址對(duì)服務(wù)器的某些服務(wù)的訪問，并在外部網(wǎng)絡(luò)和Web服務(wù)器中建立雙層防護(hù)。（12）使用入侵檢測系統(tǒng)、監(jiān)視系統(tǒng)、事件、安全記錄和系統(tǒng)日志以及網(wǎng)絡(luò)中的數(shù)據(jù)包，對(duì)危險(xiǎn)和惡意訪問進(jìn)行阻斷、報(bào)警等響應(yīng)。（13）在Web服務(wù)器上使用有效的防病毒系統(tǒng)，防止病毒及木馬程序的侵入是保證服務(wù)器系統(tǒng)安全的一個(gè)關(guān)鍵。（14）使用漏洞掃描和安全評(píng)估軟件，對(duì)Web系統(tǒng)進(jìn)行全面的掃描，及時(shí)發(fā)現(xiàn)并彌補(bǔ)安全漏洞。2023/3/93311.4Web瀏覽器安全1．瀏覽器的自動(dòng)調(diào)用瀏覽器的一個(gè)強(qiáng)大功能就是能夠自動(dòng)調(diào)用瀏覽器所在計(jì)算機(jī)中的有關(guān)應(yīng)用程序，以便正確顯示從Web服務(wù)器取得的各種類型的信息。某些功能強(qiáng)大的應(yīng)用程序依靠來自Web服務(wù)器的任意輸入?yún)?shù)來運(yùn)行，可能被用于獲取非授權(quán)訪問權(quán)限，對(duì)Web瀏覽器所在的計(jì)算機(jī)構(gòu)成了極大的安全威脅。瀏覽器中使用的協(xié)議有HTTP、FTP、GOPHER、WAIS等，還包括NNTP和SMTP。當(dāng)用戶使用瀏覽器時(shí)，實(shí)際上是在申請HTTP等服務(wù)器。這些服務(wù)器都存在漏洞，是不安全的。11.4.1Web瀏覽器面臨的威脅2023/3/9342．惡意代碼由于某些動(dòng)態(tài)頁面以來源不可信的用戶輸入的數(shù)據(jù)為參數(shù)生成頁面，所以Web網(wǎng)頁中可能會(huì)不經(jīng)意地包含一些惡意的腳本程序等。如果Web服務(wù)器對(duì)此不進(jìn)行處理，那么很可能對(duì)Web服務(wù)器和瀏覽器用戶雙方都帶來安全威脅。即使采用SSL來保護(hù)傳輸，也不能阻止這些惡意的代碼傳輸?，F(xiàn)在有這樣的一些網(wǎng)站，只要鏈接到它的頁面上，不是IE首頁被改就是IE的某些選項(xiàng)被禁用了。一些網(wǎng)頁上的惡意代碼還可以格式化硬盤或刪除硬盤上存儲(chǔ)的數(shù)據(jù)，它們的主要行為包括：①修改IE瀏覽器的標(biāo)題；②修改IE瀏覽器的默認(rèn)首頁，迫使用戶在啟動(dòng)IE時(shí)都要訪問它設(shè)置好的網(wǎng)站，這種情況尤以暴力或色情網(wǎng)站為多；③禁止Internet選項(xiàng)、禁止IE右鍵菜單的彈出或者右鍵菜單變成灰色無法使用，網(wǎng)絡(luò)所具有的功能被屏蔽掉；④禁止系統(tǒng)對(duì)注冊表的任何操作。2023/3/9353．瀏覽器本身的漏洞瀏覽器的功能越來越強(qiáng)大，但是由于程序結(jié)構(gòu)的復(fù)雜性，出現(xiàn)在瀏覽器上的漏洞層出不窮。在開發(fā)商堵住了舊的漏洞的同時(shí)，可能又出現(xiàn)了新的漏洞。瀏覽器的安全漏洞可能讓攻擊者獲取磁盤信息、安全口令，甚至破壞磁盤文件系統(tǒng)等。4．瀏覽器泄露的敏感信息Web服務(wù)器大多對(duì)每次接受的訪問都做相應(yīng)的記錄，并保存到日志文件中。通常包括來訪的IP地址、來訪的用戶名、請求的URL、請求的狀態(tài)和傳輸?shù)臄?shù)據(jù)大小。瀏覽器在向外傳送信息的時(shí)候，很可能已經(jīng)把自己的敏感信息送了出去。5．Web欺騙由于Web網(wǎng)頁具有容易復(fù)制的特點(diǎn)，使得Web欺騙變得很容易實(shí)現(xiàn)。Web欺騙就是一種網(wǎng)絡(luò)欺騙，攻擊者構(gòu)建的虛假網(wǎng)站看起來就像真實(shí)站點(diǎn)，具有同樣的鏈接，同樣的頁面，而實(shí)際上，被欺騙的所有瀏覽器用戶與這些偽裝頁面的交互都受攻擊者控制。關(guān)于Web欺騙可以參考6.3.4中的有關(guān)內(nèi)容。2023/3/93611.4.2Web瀏覽器的安全策略（1）IP地址和緩沖（cache）窺探用戶每次訪問Web服務(wù)器時(shí)都會(huì)留下一定的痕跡。這個(gè)痕跡在不同的服務(wù)器上以不同的方法記錄下來，包括訪問者的IP地址、用戶主機(jī)名，甚至用戶名。這樣網(wǎng)絡(luò)管理員就可以精確判斷出用戶的位置、網(wǎng)絡(luò)地址的名字、曾經(jīng)訪問的地方。（2）CookieCookie是一個(gè)保存在客戶機(jī)中的簡單的文本文件，這個(gè)文件與特定的Web文檔關(guān)聯(lián)在一起，用戶在瀏覽Web網(wǎng)頁時(shí)可以存儲(chǔ)有關(guān)用戶的信息。Cookie可以讓W(xué)eb服務(wù)器記住用戶名、用戶口令、興趣等，從而保存該客戶機(jī)訪問這個(gè)Web文檔時(shí)的信息，當(dāng)客戶機(jī)再次訪問這個(gè)Web文檔時(shí)，服務(wù)器就自動(dòng)檢索這些信息，這些信息可供該文檔使用。Cookie具有可以保存在客戶機(jī)上的神奇特性，因此它可以幫助實(shí)現(xiàn)記錄用戶個(gè)人信息的功能，而不必使用復(fù)雜的CGI等程序。2023/3/937Cookie可以用來定制個(gè)性化空間，根據(jù)個(gè)人喜好進(jìn)行欄目設(shè)定，即時(shí)、動(dòng)態(tài)地產(chǎn)生用戶所要的內(nèi)容，這就迎合了不同層次用戶的訪問興趣，減少用戶項(xiàng)目選擇的次數(shù)，更合理地利用網(wǎng)頁服務(wù)器的傳輸帶寬。Cookie還可以用來記錄站點(diǎn)軌跡，如顯示用戶訪問該網(wǎng)頁的次數(shù)，顯示用戶上一次的訪問時(shí)間，甚至是記錄用戶以前在本頁中所做的選擇等。針對(duì)Web瀏覽器所面臨的種種威脅，應(yīng)該制定相應(yīng)的安全策略。2023/3/9381．瀏覽器的自動(dòng)調(diào)用瀏覽器比FTP服務(wù)器更容易轉(zhuǎn)換和執(zhí)行，同樣，一個(gè)惡意的侵入也就更容易得到轉(zhuǎn)換和執(zhí)行。瀏覽器一般只能理解一些基本的數(shù)據(jù)格式，比如HTML、JPEG、GIF等格式的圖形，對(duì)其他的數(shù)據(jù)格式，瀏覽器要通過外部程序來觀察。這樣，就引入了一些不安全的因素。因此，可以采取這樣一些方法措施：①不要輕信陌生人的建議而隨便修改外部程序的配置；②不要允許危險(xiǎn)的外部程序進(jìn)入站點(diǎn)；③不要隨便地增加外部程序；④不是默認(rèn)的外部程序要多加注意。2023/3/9392．惡意代碼對(duì)于惡意修改，可以用網(wǎng)絡(luò)實(shí)名來將IE修復(fù)到默認(rèn)狀態(tài)。網(wǎng)絡(luò)實(shí)名是最快捷、最方便的網(wǎng)絡(luò)訪問方式，企業(yè)、產(chǎn)品、品牌的名稱就是實(shí)名，輸入中英文、拼音及其簡稱均可直達(dá)目標(biāo)。修復(fù)工作主要包括以下內(nèi)容：（1）修復(fù)IE標(biāo)題。IE標(biāo)題是指IE窗口最上面網(wǎng)頁標(biāo)題后的MicrosoftInternetExplorer，很多惡意網(wǎng)站都會(huì)更改它。（2）修復(fù)IE起始頁為空白頁。IE起始頁是指啟動(dòng)IE時(shí)鏈接到的頁面，這也是惡意網(wǎng)站的目標(biāo)之一，每當(dāng)打開瀏覽器就鏈接到它的網(wǎng)站，網(wǎng)絡(luò)實(shí)名可以將IE起始頁恢復(fù)為空白頁。（3）取消對(duì)IE的非法限制。很多惡意網(wǎng)站在修改完別人的設(shè)置后，為了不讓他們改回來，就把IE的某些選項(xiàng)菜單隱藏或禁用了。網(wǎng)絡(luò)實(shí)名可以刪除這些對(duì)IE的非法限制。（4）解除對(duì)注冊表編輯器的非法限制。感染計(jì)算機(jī)病毒或訪問某些網(wǎng)站頁面后，有可能無法運(yùn)行注冊表編輯器來修改注冊表信息。網(wǎng)絡(luò)實(shí)名可以解除這種非法限制。2023/3/9403．瀏覽器本身的漏洞瀏覽器軟件公司在發(fā)現(xiàn)安全漏洞的同時(shí)不斷地發(fā)布相應(yīng)的“補(bǔ)丁”程序，以彌補(bǔ)其對(duì)應(yīng)的不足之處，或者是開發(fā)瀏覽器新的增加了相應(yīng)安全功能的升級(jí)版本。所以我們在使用瀏覽器的過程中應(yīng)多注意軟件開發(fā)商所發(fā)布的“補(bǔ)丁”程序或升級(jí)版本，及時(shí)地給自己的瀏覽器打“補(bǔ)丁”或進(jìn)行升級(jí)，這是減小因?yàn)g覽器本身存在漏洞而造成的威脅的最有效的一種方法。2008年12月9日晚間消息，微軟曝出的最新XML安全漏洞將影響到所有使用IE控件的程序，包括各主要瀏覽器、郵件客戶端、辦公軟件、Rss訂閱器以及可嵌入網(wǎng)頁的所有第三方軟件，影響范圍極其廣泛。2023/3/94111.4.3Web瀏覽器的安全通信1．Web瀏覽器的安全使用上網(wǎng)離不開瀏覽器，所以瀏覽器的安全性能非常重要。我們有時(shí)會(huì)看到類似這樣的報(bào)道：“當(dāng)心，瀏覽網(wǎng)頁硬盤會(huì)被共享！”、“可以格式化硬盤的網(wǎng)頁代碼”等，這些在技術(shù)上是可行性的，絕不是危言聳聽?，F(xiàn)在市場上的許多瀏覽器可以說是各有特色。微軟的瀏覽器IE6.0因?yàn)椴捎瞄_放的標(biāo)準(zhǔn)并加強(qiáng)了對(duì)Cookie的管理而受到普遍歡迎。從理論上看，能更安全地進(jìn)行信息傳輸和訪問Web服務(wù)器。如果訪問的Web服務(wù)器不符合指定的最低安全要求，IE6.0將在任務(wù)欄上發(fā)出警告。2023/3/942一般而言，IE6.0的安全使用及設(shè)置技巧有以下幾條：①屏蔽惡意網(wǎng)站，通過IE6.0的Cookie策略，個(gè)性化地設(shè)定瀏覽網(wǎng)頁時(shí)的Cookie規(guī)則，更好地保護(hù)自己的信息，增加使用IE的安全性；②有效保護(hù)IE的首頁和工具欄，經(jīng)常清除已瀏覽網(wǎng)址（URL），清除已訪問網(wǎng)頁；③使用智能過濾控件，經(jīng)常清除已瀏覽網(wǎng)址（URL）和已訪問過的網(wǎng)頁，禁用或限制使用Java、Java小程序腳本、ActiveX控件和插件；④調(diào)整自動(dòng)完成功能的設(shè)置，做到只選擇針對(duì)Web地址、表單和密碼使用“自動(dòng)完成”功能，也可以只在某些地方使用此功能，還可以清除任何項(xiàng)目的歷史記錄；⑤若需要隱藏控制面板、網(wǎng)上鄰居等選項(xiàng)，可以使用安全特別設(shè)置；⑥使用在線殺毒功能，以便全面掌握計(jì)算機(jī)的安全狀態(tài)。2023/3/943當(dāng)然，要想做到無憂無慮地上網(wǎng)，實(shí)現(xiàn)網(wǎng)上安全沖浪，應(yīng)該注意的問題很多，比如安裝個(gè)人防火墻和病毒防火墻、及時(shí)更新殺毒軟件、使用安全合理的密碼口令、不隨意下載和運(yùn)行不明軟件等。而且，從網(wǎng)絡(luò)用戶自身來講，還要提高自己的素質(zhì)修養(yǎng)、保持良好的心態(tài)，要經(jīng)得住一些惡意網(wǎng)站的誘惑，尤其是一些包含不健康內(nèi)容或者是反動(dòng)內(nèi)容的網(wǎng)站，因?yàn)檫@些類型的網(wǎng)站往往是對(duì)用戶瀏覽器或計(jì)算機(jī)造成威脅的主要來源。我們只要養(yǎng)成良好的上網(wǎng)習(xí)慣，就能在很大程度上保證“防黑于未然”。2023/3/9442．傳輸和傳輸更新如果客戶機(jī)不能與站點(diǎn)建立聯(lián)系（更不用說鏈接和交換數(shù)據(jù)了）的話，那么這個(gè)站點(diǎn)實(shí)際算不上是一個(gè)站點(diǎn)。通常認(rèn)為